Microsoft rilascia l'aggiornamento record di settembre 2026 con oltre 970 correzioni e due zero-day sfruttati. Scoperta una nuova falla su Defender.
L'8 settembre 2026 Microsoft ha pubblicato il pacchetto di aggiornamenti mensili più corposo della sua storia. Il Patch Tuesday Microsoft settembre 2026 distribuisce oltre 970 correzioni di sicurezza, chiudendo due vulnerabilità già attivamente sfruttate dai criminali informatici per prendere il controllo totale dei sistemi Windows. Nelle stesse ore, un ricercatore indipendente ha reso pubblico il codice per sfruttare una nuova falla su Microsoft Defender, denominata ShieldCrash, che aggira le protezioni appena rilasciate dal produttore. Per le aziende italiane, questo scenario impone di pianificare un aggiornamento massiccio e complesso senza bloccare l'operatività, gestendo al contempo un rischio ancora aperto sui sistemi di difesa integrati.
I numeri record del pacchetto mensile
Le fonti specializzate riportano una lieve variazione nel conteggio totale delle correzioni, dovuta alla classificazione dei componenti. Secondo The Hacker News e Rapid7, il pacchetto risolve 974 vulnerabilità proprietarie, che salgono a 999 includendo i pacchetti di terze parti. Altre testate, come IlSoftware.it, contano 973 falle. Il dato rilevante per gli amministratori di sistema è che oltre 110 di queste vulnerabilità sono classificate con gravità critica.
L'impatto degli aggiornamenti copre l'intera infrastruttura informatica aziendale. Più di 700 difetti riguardano il sistema operativo Windows, oltre 100 colpiscono la suite Office e 62 interessano i database SQL Server. Particolare attenzione va posta sui servizi di rete esposti: sono state corrette falle critiche con punteggio massimo (CVSS 9.8) sul Server DNS (CVE-2026-69730) e sui servizi di Desktop Remoto (CVE-2026-69525), due componenti spesso presi di mira per gli attacchi ransomware.
Le due vulnerabilità sfruttate attivamente
L'urgenza dell'installazione è dettata da due falle zero-day già utilizzate in attacchi reali e formalmente inserite nel catalogo delle vulnerabilità note (KEV) della CISA. Entrambe permettono a un utente con permessi standard di effettuare una scalata dei privilegi fino a ottenere il controllo completo della macchina (livello SYSTEM).
La prima vulnerabilità, identificata come CVE-2026-81963 (CVSS 7.8), sfrutta una risoluzione impropria dei collegamenti all'interno del sistema di aggiornamento di Windows. La seconda, CVE-2026-85880 (CVSS 7.8), è causata da un errore di gestione della memoria nel meccanismo di comunicazione interna ALPC. Quest'ultima permette a un attaccante di uscire da ambienti isolati a bassi privilegi e colpisce prevalentemente Windows 10 e le versioni precedenti di Windows Server. Chiudere queste falle è fondamentale per impedire ai criminali, che potrebbero aver ottenuto un accesso base tramite una email di phishing, di muoversi liberamente nella rete aziendale.
Il caso ShieldCrash su Microsoft Defender
Mentre gli amministratori IT iniziavano a distribuire le patch, il ricercatore noto come Nightmare Eclipse ha pubblicato un codice dimostrativo per una vulnerabilità zero-day non ancora risolta su Microsoft Defender. Chiamata ShieldCrash, questa falla permette la lettura non autorizzata di file protetti con privilegi di sistema su tutte le versioni supportate di Windows, inclusi Windows 10, 11 e Windows Server.
Il problema nasce come aggiramento di una patch appena rilasciata (ShieldBreak) per il motore antimalware di Microsoft. Il codice dimostrativo sfrutta una debolezza nella versione 1.1.26080.3 del motore di protezione. Al momento, i sistemi risultano esposti a questo specifico vettore di attacco, poiché manca una correzione ufficiale.
Come pianificare gli interventi in azienda
L'installazione di un numero così elevato di correzioni su server infrastrutturali richiede un metodo rigoroso per evitare disservizi operativi durante i riavvii o conflitti con gli applicativi aziendali.
- Dare priorità ai due zero-day: installare immediatamente l'aggiornamento cumulativo di settembre su postazioni di lavoro, server e controller di dominio per chiudere le falle CVE-2026-81963 e CVE-2026-85880.
- Segmentare e testare i server infrastrutturali: per le macchine che gestiscono servizi critici come DNS, database SQL e server di posta Exchange, programmare l'installazione in finestre di manutenzione controllate, procedendo solo dopo aver verificato l'integrità e il ripristino dei backup.
- Presidiare Microsoft Defender: assicurarsi che il sistema di sicurezza riceva gli aggiornamenti automatici delle definizioni, in attesa che Microsoft distribuisca una revisione correttiva dedicata per bloccare ShieldCrash.
- Isolare gli accessi privilegiati: applicare rigorosamente il principio del privilegio minimo, riducendo i diritti amministrativi degli utenti per ostacolare l'esecuzione di codice locale non autorizzato da parte degli attaccanti.
Verificare nei registri di sistema la presenza di account locali anomali prima e dopo l'applicazione degli aggiornamenti.
Fonti
- Patch Tuesday Microsoft settembre corregge 973 falle: due zero-day sono già sotto attacco
- Microsoft Defender, nuovo zero-day ShieldCrash buca anche la patch di settembre
- New Microsoft Defender 'ShieldCrash' zero-day grants SYSTEM access
- Microsoft Patches Record 974 Flaws, Including Two Exploited Windows Zero-Days
- CISA Adds Four Known Exploited Vulnerabilities to Catalog
- Patch Tuesday September 2026
